Quantum Box株式会社（以下「当社」といいます）は、当社が開発・運用するサービスと業務で取り扱う情報の機密性、完全性および可用性を保護するため、以下のセキュリティ方針を定めます。アプリケーションに加え、インフラ、社内ネットワーク、業務端末および運用手順を対象とし、複数の対策を組み合わせてリスクの低減を図ります。
制定日：2026年10月23日／最終更新日：2026年10月23日
1. 適用範囲と責任
本方針は、当社が管理するアプリケーション、Webサイト、API、外部連携機能、インフラ、社内ネットワークおよび開発・運用環境に適用します。各システムの管理担当者は、取り扱う情報とリスクに応じて、具体的な対策、適用範囲および確認手順を定めます。個人情報の利用目的、保存・削除および本人からの請求については、各サービスのプライバシーポリシーに定めます。
本書には、実施している対策と継続的に遵守する基本方針を記載しています。対策の対象が限定される場合は、その範囲を明記しています。個別の監査結果、第三者認証の取得、またはすべてのリスクの解消を表明するものではありません。
2. 情報の性質に応じた技術選定
当社が開発するサーバー側のAPI・業務処理は、すべてメモリ安全性を重視した言語であるRustで実装しています。メモリの不正アクセスなどに起因する脆弱性のリスクを低減し、認証・認可、入力検証およびエラー処理を組み合わせて保護しています。
Web画面などの公開部分にはTypeScript等を使用しています。非公開情報を扱う処理は保護されたサーバー側APIで行い、ブラウザ側には許可された範囲の情報を返します。
言語の選択だけで安全性が確保されるとは考えません。依存ライブラリ、実行環境、設定および外部サービスも含めてリスクを評価する方針です。
3. 情報の分類と公開範囲
公開情報、社内情報、個人情報および認証情報などを、公開可否と業務上の必要性に応じて扱います。取得・利用・返却する情報は必要な範囲に限定し、公開ページ、共有リンク、ログ、エラー応答、テストデータおよび成果物への意図しない混入を防ぐ方針とします。
公開設定や共有範囲の変更時には、対象情報と閲覧可能な利用者を確認します。ブラウザで表示を隠すことだけをアクセス制御とせず、サーバー側で保護します。
4. 認証・認可と権限管理
保護対象へのアクセスは、本人確認と必要な権限の確認に基づいて制御しています。利用者・組織ごとのアクセス範囲をサーバー側で確認し、サービスや運用の用途に応じてアカウントとロールを分けています。必要最小限の権限を付与し、管理者権限の常用を避けることを基本方針としています。
社内の管理用アクセスには組織の認証基盤を利用し、機械間のアクセスには用途別の認証情報を使用しています。対象の本番データベースの通常運用では、操作範囲を限定した運用アカウントを使用しています。担当変更、利用終了または漏えいの疑いがある場合は、権限・認証情報を見直し、必要に応じて失効、更新および既存セッションの切断を行います。
5. ゼロトラストに基づく社内ネットワークとリモートアクセス
当社は、社内・社外といった接続元の場所だけを根拠にアクセスを信頼しない、ゼロトラストの考え方に基づいて社内の管理用アクセスを保護しています。社内ネットワークへの接続を許可することと、個々のシステムやデータへの操作を許可することを分け、対象ごとに認証・認可を行っています。
管理用アクセスは組織の認証基盤と連携した認証付きの接続経路を使用し、許可された利用者とアクセス対象に基づいて制御しています。外部公開する機能と内部管理用の機能を区別し、ネットワークへ接続できることだけで、すべての情報や管理機能を利用できる設計にはしていません。
保護されたAPIやデータベースでは、それぞれの認証・権限管理を併用しています。第4項の権限管理、第6項の対象端末の保護、第7項の基幹データベースの非公開接続と組み合わせ、アクセス経路とデータの両方を保護しています。
対象の社内接続では、マルウェアやフィッシングなどに関連する危険な接続先を遮断しています。ネットワーク上の防御と、アプリケーション側の認可・脆弱性修正を組み合わせて保護しています。
6. 業務端末の保護
業務端末のOS更新、ディスク暗号化、ファイアウォールおよび認証情報の適切な管理を基本方針としています。対象を限定した端末では、ディスク暗号化とファイアウォールの状態を確認し、条件を満たさない接続を制限する対策を実施しています。
端末状態に基づくアクセス制御と通信検査は、対象を限定して運用しています。適用範囲を広げる際は、目的、業務への影響および情報の取り扱いを確認します。端末の紛失や不正利用が疑われる場合は、アクセス権限とセッションの確認・失効など、影響を抑える対応を行います。
7. インフラと保存領域の保護
Tachyonに関わる基幹データベースは、すべて非公開の接続経路で運用し、インターネットから直接接続できる形では公開しません。ネットワーク制御と認証・認可を併用し、運用上のアクセスも必要な権限を持つ担当者・サービスに限定します。
お客様固有のデータのうち非公開情報は、認証・認可などで保護された当社APIを介して基幹データベースに保存します。利用者による読み取り・更新も当社APIで権限を確認し、許可された範囲に限定します。それ以外のデータは、それぞれのデータベースに分けて保存し、データの性質と用途に応じたアクセス制御を適用します。
開発・検証・本番の用途を区別し、本番情報へのアクセスを業務上必要な範囲に限定します。通信の暗号化と接続先の検証を基本とし、保存領域には取り扱う情報とリスクに応じた暗号化、公開アクセスの制限およびアクセス権限を設定する方針とします。公開配信用の情報と非公開情報は用途を区別して管理します。
8. 公開サービスの防御
対象の公開サービスでは、不正なリクエストを検出・遮断する防御機能を運用しています。公開が必要な機能と経路を区別し、対象の接続先では呼び出し元の認証によって直接アクセスも制御しています。これらの対策はサービスごとの構成に応じて適用しています。
防御機能を追加する際は、通常の利用への影響も確認します。通信の遮断やフィルタリングを、脆弱性の修正やアプリケーション側の認可の代替とはしません。
9. 秘密情報と認証情報の管理
APIキー、パスワード、接続情報などは、公開コードやブラウザ配信物から分離し、用途に応じた専用の保管先で管理しています。対象の運用手順では、認証された担当者またはサービスが必要な認証情報を取得して使用する仕組みを設けています。
対象のインフラ運用では、秘密情報を必要な処理の間だけ渡し、コマンド履歴、画面およびログへの出力を避ける手順を採用しています。対象の自動デプロイでは短期認証を使用し、実行元と操作先を制限しています。長期認証情報が必要な場合も、利用範囲、更新および失効の手順を管理します。
10. 実行環境と外部由来の処理の分離
利用者のコードや外部由来の処理を実行する対象のジョブ環境では、仮想化による隔離と通信制御を実施しています。管理機能と処理を実行する環境を分け、ホスト側のファイルへのアクセスを制限しています。
対象ジョブでは、通信制御が機能していることを確認してから処理を開始し、確認できない場合は開始しない仕組みを設けています。対象の管理コンポーネントには、実行権限や書き込み範囲を制限する設定を適用しています。新たな実行環境でも、必要な隔離と権限制御を確認してから利用する方針です。
11. 開発・構成変更と依存関係の管理
コードと主要なインフラ構成は、変更履歴と差分を追跡できる形で管理しています。コードの変更と本番環境への適用を区別し、レビューと変更内容に応じた検証を行う運用手順を設けています。変更時には、取り扱う情報、権限、公開範囲、外部接続および運用への影響を確認します。
対象の実行イメージは内容を特定できる識別情報で管理し、意図しない構成変更を確認する仕組みを設けています。CIで保存する診断資料や配布物には用途別の保存期間を設定し、その設定を自動チェックしています。成果物に秘密情報や不要な個人情報を含めないことを基本方針としています。
12. ログ・監視と通知
サービスとインフラのログ、稼働情報および処理の記録を収集し、障害や運用上の変化の調査に利用しています。監視用の管理画面は認証付きのアクセス経路で保護しています。対象のAPIログには、認証トークンを検出してマスキングする対策を実施しています。収集項目、保存期間および保護方法は対象ごとに管理します。
対象のインフラでは、稼働状態を確認して異常を通知する仕組みを運用しています。情報の収集、異常の検知、通知、および担当者による対応確認は区別します。通知がないことだけで正常と判断せず、監視経路と通知経路自体の状態も確認することを基本方針としています。
13. 保存・復旧と可用性
対象の保存領域では、保存時の暗号化、公開アクセスの制限およびバージョニングを設定しています。バージョニング、バックアップおよび複製は役割が異なるため、これらを同一の復旧保証とは扱いません。サービスの重要度に応じて保存対象、保持期間、復旧方法および確認手順を定める方針です。
監視データ、一時データ、配布物および顧客データの保存要件を区別します。対象の運用では、通常の接続経路が使えない場合の代替接続と、作業後の接続終了の手順を定めています。具体的な保存・復旧条件は、サービスの仕様および契約に応じて定めます。
14. 脆弱性情報とインシデントへの対応
利用する言語、依存ライブラリ、OS、コンテナおよび外部サービスの脆弱性情報を、実際の利用状況と照らして確認します。深刻度、外部からの到達可能性、取り扱う情報および悪用状況に応じて優先順位を決め、更新や必要な緩和措置を実施する方針とします。
ソースコードの確認だけで影響なしと断定せず、必要に応じて稼働環境や導入済みパッケージも確認します。緩和措置を採る場合は残存リスクを把握し、恒久的な対応につなげます。
情報漏えい、不正アクセスその他の問題を把握した場合は、影響範囲の確認、被害拡大の防止、必要な記録の保全、復旧および再発防止を進めます。関係者への連絡は、確認した事実と影響、および適用される義務に応じて行います。
15. 外部サービス・例外管理と見直し
外部サービスや連携先には、必要な情報と権限に限定してアクセスを許可する方針とします。委託・連携に伴う情報の取り扱いは、各サービスの契約条件およびプライバシーポリシーと整合させます。
標準の対策を適用できない場合は、理由、対象範囲、残存リスク、代替措置および見直し時期を管理担当者が確認する方針とします。対策の設計、適用状況および検証結果を区別して記録し、サービス構成の変更、新たな脅威および運用で得られた知見に応じて見直します。
16. お問い合わせ
セキュリティに関するご連絡：info@quantum-box.com
ご連絡には、対象サービス、問題の概要、確認手順および影響があると考えられる範囲を、可能な範囲でお知らせください。個人情報、認証情報その他の秘密情報そのものは送付しないでください。
関連資料：当社の標準技術と設計原則